CVE-2026-40904
Açıklama
Chartbrew, doğrudan veri tabanlarına ve API'lere bağlanabilen ve bu verileri grafikler oluşturmak için kullanan açık kaynaklı bir web uygulamasıdır. Versiyon 4.9.0'da Chartbrew; talep edilen dataset_id, dataRequest id ve connection_id değerlerini çağıran kişinin izin verilen projelerine bağlamak yerine, düşük yetkili proje üyelerini ekip düzeyinde yetkilendiren birden fazla dataset ve dataRequest uç noktası sunmaktadır. Bir ekip içinde yalnızca tek bir projeye erişimi olan kimliği doğrulanmış bir saldırgan, aynı ekipteki diğer projelere ait veri setlerini ve veri isteklerini okuyabilir, çalıştırabilir, oluşturabilir, güncelleyebilir ve silebilir. Bu sorun, standart proje düzeyi kimlik bilgileriyle uzaktan istismar edilebilir ve projeler arası veri ifşasına ile kurban tarafındaki veri tabanı veya API bağlantılarının yetkisiz kullanımına yol açar. Bu sorun versiyon 5.0.0'da giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chartbrew chartbrew | = 4.9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.